Googleが発見したWindowsのマルウェア対策エンジンのバグ、Microsoftが2日で修正

headless 曰く、

GoogleのProject ZeroがWindowsのマルウェア対策エンジンに「最悪の」脆弱性を発見したのだが、Microsoftが2日ほどで修正を完了し、アップデートを配信した(マイクロソフトセキュリティアドバイザリ 4022344、 Project Zero — Issue 1252)。

マルウェア対策エンジン(Microsoft Malware Protection Engine)はMicrosoftのセキュリティソフトウェアにマルウェアのスキャンなどの機能を提供するもので、Windows DefenderやMicrosoft Security Essentials、Microsoft Endpoint Protectionなどに含まれる。

発見された脆弱性は細工したファイルをスキャンさせることでメモリ破損を引き起こし、リモートからの任意コード実行が可能になるというもの。コードはLocalSystemのセキュリティコンテキストで実行されるため、システムを乗っ取ることもできる。

攻撃者は細工したファイルをユーザーに開かせる必要はない、。マルウェア対策エンジンはローカルのファイルシステムへのアクセスを監視し、スキャンを実行するため、たとえば電子メールに添付して送信し、ターゲットの電子メールクライアントに添付ファイルをダウンロードさせれば攻撃が成立するという。

これについてProject ZeroのTavis Ormandy氏は6日、最悪のリモートコード実行を発見したとツイートしていたが、通知を受けたMicrosoftが修正を完了し、セキュリティアドバイザリを公開したことで、Project Zeroも詳細を公表した。なお、脆弱性はマルウェア対策エンジンのバージョン1.1.13704.0以降で修正されている。